篡改漏洞

安全研究员老周在凌晨三点给我打了个电话。篡改漏洞他说他发现了一个漏洞，篡改漏洞但不敢上报。篡改漏洞

漏洞藏在一家银行的篡改漏洞老系统中，能绕过所有转账限额。篡改漏洞老周演示给我看——他把一串十六进制代码贴进请求包，篡改漏洞金额字段瞬间变成了负数。篡改漏洞系统非但没拦截，篡改漏洞反而在日志里记了一笔“退款成功”。篡改漏洞

“这漏洞存在四年了。篡改漏洞”老周的篡改漏洞声音有点抖，“四年里，篡改漏洞只要有人碰过这个参数，篡改漏洞银行就会自动打钱。篡改漏洞”他查过交易记录，篡改漏洞确实有几笔异常退款，但都被财务部门当作“系统误差”冲销了。

问题出在开发者的一个“好心”上。当年写这段代码的人，为了调试方便，在参数校验后加了个后门。他大概想着上线前删掉，结果忘了。更讽刺的是，代码注释里写着：“此处为临时方案，勿用于生产环境。”

老周不敢上报的原因很简单——他怕被当成攻击者。漏洞描述里一旦提到“可无限退款”，甲方第一反应往往是报警，而不是修复。他见过太多同行因为报告写得“太像攻击指南”而被约谈。

我劝他把漏洞细节模糊化，只说“存在逻辑错误”，不写具体参数。老周犹豫了半天，最后改了报告，标题从《交易金额篡改漏洞》改成了《参数边界条件验证不足》。

一周后，银行回复：“已确认问题，将在下版本修复。”没有感谢，没有漏洞奖金，连个确认邮件都是自动回复的。

但老周松了口气。他告诉我，真正可怕的不是漏洞本身，而是那些知道漏洞却选择沉默的人。他之前在一家乙方公司干过，见过甲方安全主管私下兜售漏洞——把细节卖给黑产，再假装自己“发现”并“修复”，两头拿钱。

“篡改漏洞的人不可怕，”老周说，“可怕的是篡改漏洞报告的人。”他把代码里的注释改成了“此方法已验证，但存在潜在风险”，然后又补了一句：“建议增加第二道校验。”

几天后，漏洞彻底修复了。老周把那个后门代码截图存进加密文件夹，备注写着：“2019-2023，存活四年，零事故。”他后来告诉我，其实他早就能用那个漏洞转走几百万，但他只测试了一分钱。

“那分钱到账的时候，我心跳得厉害。”他说，“然后我马上转回去了。”

现在老周还在做安全研究，但不再接银行的单子。他改行做漏洞众测平台审核员，专门帮新手把报告写得“不那么吓人”。他说这活儿比挖洞难多了——你要在“说清楚”和“别教坏人”之间找平衡。

上个月他给我看了份新报告，标题是《某政务系统越权访问》。正文里把攻击步骤写得像散文，连“payload”都改叫“测试载荷”。我笑他矫枉过正，他摇头：“你以为漏洞是技术问题？不，漏洞是人性问题——怎么让人愿意修，比怎么让人知道修更重要。”

那行代码注释他后来发给我看，原版写着“// TODO: remove before production”。他改成了“// 此处需二次确认，联系：老周”。

本文地址：http://www.79wt.cn/news/932d1799050.html